CISA warnt vor aktiven Angriffen auf drei Linux-Kernel-Lücken
Die US-Behörde CISA warnt davor, dass drei Schwachstellen im Linux-Kernel aktiv ausgenutzt werden, eine davon gilt als kritisch. Alle drei erlauben einem Angreifer, der bereits lokalen Zugang zu einem System hat, seine Rechte auszuweiten oder das System lahmzulegen. Für Server, Container-Umgebungen und Cloud-Systeme ist das ein ernstes Problem, weil solche Lücken die zweite Stufe eines Angriffs bilden, sobald ein Fuß in der Tür ist. Red Hat und die Kernel-Entwickler haben Korrekturen bereitgestellt.
Was ist passiert
Am 18. September 2026 hat CISA die drei Lücken in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen und dies mit Belegen für eine Ausnutzung begründet. US-Bundesbehörden mussten die Schwachstellen bis zum 21. September 2026 beheben, angeordnet über die Direktive BOD 26-04. Zusätzlich verlangt CISA eine forensische Prüfung: Die Behörden sollen betroffene Systeme nicht nur patchen, sondern auch auf Spuren eines bereits erfolgten Einbruchs untersuchen.
Wer hinter den Angriffen steckt und wie genau sie ablaufen, ist bislang nicht bekannt. CISA nennt keine Opfer, keine Täter und keine Angriffsmuster. Red Hat hat seine Sicherheitsmeldungen am 19. September 2026 aktualisiert und die aktive Ausnutzung bestätigt. Für die kritischste der drei Lücken sind zudem öffentliche Exploits im Umlauf.
Die Schwachstellen im Detail
- CVE-2025-39682 (CVSS 9.8) steckt im Empfangspfad der kernelseitigen TLS-Verschlüsselung (kTLS). Ein Datensatz der Länge null umgeht die vorgesehene Behandlung des Datensatztyps, wodurch nachfolgende TLS-Datensätze mit falschen Annahmen verarbeitet werden. Für einen lokal angemeldeten Angreifer lassen sich so Speicherinhalte auslesen oder ein Absturz auslösen.
- CVE-2026-53266 (CVSS 8.8) ist ein Schreibzugriff außerhalb der vorgesehenen Grenzen im SNAT-Pfad von ebtables, konkret beim Umschreiben von ARP-Adressen. Ein lokaler Angreifer kann darüber unerwartetes Systemverhalten, einen Absturz oder eine Rechteausweitung erreichen.
- CVE-2025-39964 (CVSS 7.8) ist eine Wettlaufsituation an der Krypto-Socket-Schnittstelle AF_ALG. Gleichzeitige Schreibzugriffe auf denselben Socket können das System zum Absturz bringen oder kryptografische Operationen verfälschen. Die Lücke steckte nach Angaben von Sicherheitsforschern rund 14 Jahre im Kernel. Die Firma STAR Labs demonstrierte damit eine Rechteausweitung und einen Ausbruch aus einem Container.
Alle drei Lücken setzen voraus, dass ein Angreifer bereits lokalen, angemeldeten Zugriff auf das System hat. Das macht sie nicht harmlos, im Gegenteil: In geteilten Umgebungen wie Container-Hosts oder in mehrstufigen Angriffen sind genau solche Lücken der Hebel, um aus einem eingeschränkten Zugang volle Kontrolle zu machen.
Wer ist betroffen
Betroffen sind Linux-Systeme mit einem verwundbaren Kernel, insbesondere Server, Container-Plattformen und Cloud-Instanzen. Da die Fehler in Kernkomponenten des Kernels sitzen, sind viele Distributionen betroffen. Die konkrete Verwundbarkeit hängt davon ab, ob die jeweiligen Funktionen kTLS, ebtables-SNAT und AF_ALG genutzt werden.
- Die vom Distributor bereitgestellten Kernel-Updates einspielen, anschließend in den korrigierten Kernel neu starten und danach die aktive Version überprüfe
- Wo ein Patch noch nicht verfügbar ist, die Herstellerhinweise umsetzen.
- Betroffene Systeme nicht nur patchen, sondern auf Anzeichen einer bereits erfolgten Kompromittierung untersuchen. Die Aufnahme in den CISA-Katalog bedeutet, dass die Lücken real ausgenutzt werden.